JP4575190B2 - 監査ログ分析装置及び監査ログ分析方法及び監査ログ分析プログラム - Google Patents

Description

本発明は、ユーザ（利用者）がコンピュータ資源（例えば、Ｗｅｂコンテンツ、ファイルなど）にアクセスした証跡である監査ログ（アクセスログ）を蓄積し、蓄積された監査ログから不正アクセスを検出するための分析を行うシステムにおいて、監査ログの分析を行う監査ログ分析装置及び監査ログ分析方法及び監査ログ分析プログラムに関するものである。

従来の不正アクセスを検出する方式としては、監査ログを監査ログ分析プログラムにて分析するものと、アクセス監視プログラムによりリアルタイムにアクセスを監視するものがある。前者には、例えば、監査ログに記録された通信経路により不正アクセスを検出するもの（特許文献１）、監査ログに記録されたＩＰアドレス、接続時間帯、接続パターンにより不正アクセスを検出するもの（特許文献２）、アクセス要求の履歴をもとに不正アクセスを行っているコンピュータを判別し、アクセス制御を行うもの（特許文献３）がある。これらは、過去に行われたアクセスが不正アクセスであるか否かを判断するものである。

現在、Ｗｅｂシステムにおいて、複数のシステムの認証を統合する認証サーバが存在する。認証サーバでは、アクセスするユーザのアクセス制御を実施し、アクセスの記録を監査ログとして蓄積するものが一般的である。

企業内のシステムでは、様々なシステムを様々なユーザが使用するためにきめ細かなアクセス制御が必要となってきており、アクセス制御のルールとして近年では利用者の所属、役職といった組織情報を使用するケースが増加している。
特開２００２−８２８４９号公報 特開２００２−３１８７３４号公報 特開２００４−３８５１７号公報

従来の監査ログ分析では、アクセスがどの時点で行われていても、そのアクセスが不正アクセスであるか否かを判断する基準は、分析時に定義されているものが使用されていた。また、従来の認証サーバによるアクセス制御では、リアルタイム性を重視していたため、アクセス制御ルールが粗く、不正アクセスを正確に検出することができなかった。

例えば、アクセス制御ルールにおいて、ユーザＡのＷｅｂコンテンツＸへのアクセスを禁止するように設定していたとする。そして、ある時点でアクセス制御ルールを変更し、ユーザＡのＷｅｂコンテンツＸへのアクセスを許可するように設定したとする。この場合、ユーザＡのＷｅｂコンテンツＸへのアクセスは、そのアクセスがアクセス制御ルールを変更する前で行われたものであれば、不正アクセスである。しかし、従来の監査ログ分析では、分析時のアクセス制御ルールを使用するため、このような不正アクセスを検出することができない。また、従来の認証サーバによるアクセス制御では、ユーザごと、Ｗｅｂコンテンツごとに細かくアクセスの認否を設定することができない。

本発明は、任意の時点でのより正確な不正アクセスの検出を目的とする。

本発明の監査ログ分析装置は、
クライアント端末からのユーザによるコンピュータ資源へのアクセスの履歴を示す監査ログを保管する監査ログデータベースから監査ログを取得し、取得した監査ログを分析する監査ログ分析装置において、
ユーザが所属するグループと当該ユーザの当該グループへの所属期間とを示すユーザ所属情報を保管するユーザ所属情報データベースと、
特定の期間における特定のグループに所属するユーザによる特定のコンピュータ資源へのアクセスの認否を規定するアクセス認否情報を保管するアクセス認否情報データベースと、
前記監査ログデータベースから監査ログを取得し、取得した監査ログに示されたコンピュータ資源へのアクセスを行ったユーザが当該コンピュータ資源へのアクセスを行った時点で所属していたグループを前記ユーザ所属情報データベースに保管されたユーザ所属情報から特定し、特定したグループに所属するユーザに関して前記アクセス認否情報データベースに保管されたアクセス認否情報に基づいて当該コンピュータ資源へのアクセスの認否を判断する監査ログ分析部とを備えることを特徴とする。

本発明では、監査ログ分析装置が、監査ログに示されたコンピュータ資源へのアクセスを行ったユーザがそのアクセスを行った時点で所属していたグループをユーザ所属情報データベースに保管されたユーザ所属情報から特定し、特定したグループに所属するユーザに関してアクセス認否情報データベースに保管されたアクセス認否情報に基づいてアクセスの認否を判断することにより、任意の時点でのより正確な不正アクセスの検出が可能となる。

以下、本発明の実施の形態について、図を用いて説明する。

図１は、下記実施の形態における監査ログ分析サーバ（監査ログ分析装置）の外観の一例を示す図である。

図１において、監査ログ分析サーバ１は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）表示装置９０１、キーボード（Ｋ／Ｂ）９０２、マウス９０３、コンパクトディスク装置（ＣＤＤ）９０５、プリンタ装置９０６を備え、これらはケーブルで接続されている。さらに、監査ログ分析サーバ１は、ローカルエリアネットワーク（ＬＡＮ）９４２、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図２は、下記実施の形態における監査ログ分析装置のハードウェア構成の一例を示す図である。

図２において、監査ログ分析サーバ１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、ＣＲＴ表示装置９０１、Ｋ／Ｂ９０２、マウス９０３、ＦＤＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）９０４、磁気ディスク装置９２０、ＣＤＤ９０５、プリンタ装置９０６と接続されている。

ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。

通信ボード９１５は、ＬＡＮ９４２などに接続されている。

例えば、通信ボード９１５、Ｋ／Ｂ９０２、ＦＤＤ９０４などは、入力部の一例である。また、例えば、通信ボード９１５、ＣＲＴ表示装置９０１などは、出力部の一例である。

ここで、通信ボード９１５は、ＬＡＮ９４２に限らず、直接、インターネット９４０、あるいはＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）などのＷＡＮ（ワイドエリアネットワーク）に接続されていても構わない。直接、インターネット９４０、あるいはＩＳＤＮなどのＷＡＮに接続されている場合、監査ログ分析サーバ１は、インターネット９４０、あるいはＩＳＤＮなどのＷＡＮに接続され、ゲートウェイ９４１は不用となる。

磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。

ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明するものが、「〜ファイル」として記憶されている。また、ファイル郡９２４の一部は、以下に述べる実施の形態の説明において、「〜ＤＢ（データベース）」として説明するデータベースを構成する。

また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）などのその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。あるいは、ソフトウェアのみ、あるいは、ハードウェアのみ、あるいは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。

また、以下に述べる実施の形態を実施するプログラムは、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）などのその他の記録媒体による記録装置を用いて記憶されても構わない。

実施の形態１．
図３は、本実施の形態に係る監視ログ分析システムの構成を示すブロック図である。

本実施の形態に係る監視ログ分析システムは、監査ログ分析プログラム（監査ログ分析部）２、人事異動履歴ＤＢ（ユーザ所属情報データベース）３、監査ログ分析用アクセス制御ルールＤＢ（アクセス認否情報データベース）４、入力部１４、出力部１５を内部に持つ監査ログ分析サーバ１、ユーザがクライアント端末６から認証サーバ７経由でＡＰＰ（アプリケーション）サーバ８にアクセスしたログ（監査ログ）を記録する監査ログＤＢ（監査ログデータベース）５からなる。システム管理者やその他の監査を行う者は、図４に示すような監査ログ分析画面９から、監査ログ分析サーバ１の入力部１４を介して、監査ログの分析の対象とする期間を入力し、監査ログの分析依頼を送信する。監査ログ分析サーバ１の監査ログ分析プログラム２は監査ログの分析を行い、不正アクセスを検出し、出力部１５がその結果を画面上に表示する。以下では、監査ログ分析画面９及びその他の画面は、監査ログ分析サーバ１に備えられた表示装置（例えば、ＣＲＴ）が出力するものとして説明するが、監査ログ分析サーバ１にネットワークを介して接続された他の端末装置に備えられた表示装置などが出力してもよい。

図３の人事異動履歴ＤＢ３は、人事異動履歴情報（ユーザ所属情報）を格納する人事異動履歴テーブルを管理する。

図５は、本実施の形態における人事異動履歴テーブルの一例を示す図である。

人事異動履歴テーブルは、人事異動履歴情報として、期間（所属期間）及びユーザＩＤ（ＵＩＤ）をキーとし、ユーザが所属する部署などを特定する組織コード、ユーザの役職などを示す役職コードといった詳細データを保持する。人事異動履歴テーブルは、人事異動の度に対象ユーザに関して更新される。このとき、現在のデータにおいてその期間の終わりが人事異動日に変更され、さらに、新しいデータが追加され、新しいデータの期間の始まりがその人事異動日に設定される。

図３の監査ログ分析用アクセス制御ルールＤＢ４は、アクセス認否情報を格納するアクセス制御ルールテーブルを管理する。

図６は、本実施の形態におけるアクセス制御ルールテーブルの一例を示す図である。

アクセス制御ルールテーブルは、アクセス認否情報として、期間及びＡＣＬ（アクセス制御リスト）名をキーとし、組織コード、役職コード、コンテンツ（コンピュータ資源の一例）といったアクセス制御ルールの詳細データを保持する。ＡＣＬ名はアクセス制御ルールの各詳細データの組み合わせを示すので、アクセス制御ルールテーブルでアクセス制御ルールの詳細データを省略し、別にアクセス制御ルールを定義するテーブルを設けてもよい。本実施の形態では、コンテンツを特にＷｅｂコンテンツであるとして、そのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）の一部（図６では、フォルダ又はディレクトリを指定するＵＲＬ）を記述している。アクセス制御ルールテーブルには、予め期間とアクセスの対象となるコンテンツに対するアクセス制御ルールが登録されている。

図３の監査ログＤＢ５は、監査ログを格納する監査ログテーブルを管理する。

図７は、本実施の形態における監査ログテーブルの一例を示す図である。

監査ログテーブルは、監査ログとして、アクセスの日時及びＵＩＤをキーとし、コンテンツを特定するアクセスＵＲＬを保持する。監査ログテーブルには、クライアント端末６が認証サーバ７経由でＡＰＰサーバ８にアクセスした履歴のデータが随時追加される。

図８は、本実施の形態に係る監査ログ分析サーバの動作を示すフロー図である。

システム管理者などが入力部１４を介して監査ログ分析画面９に監査する期間を入力し（以下、入力された期間の情報を監査対象期間という）、監査対象期間を送信すると、監査ログ分析プログラム２は監査対象期間を受信する（ステップＳ１１）。監査対象期間を受信した監査ログ分析プログラム２は、以下のように該当期間の監査ログを監査ログＤＢ５内の監査ログテーブルから古い順に一行ずつ読み込み、不正アクセスの検出を行う（ステップＳ１２〜１７）。

監査ログ分析プログラム２は監査ログテーブルから監査ログを一行（一行又は一レコードには一つの監査ログを含まれている）読み込む（ステップＳ１２）。読み込んだ監査ログの日時とＵＩＤから該当する人事異動履歴情報を人事異動履歴テーブルから取得する（ステップＳ１３）。ここで、この人事異動履歴情報をＡとする。また、読み込んだ監査ログの日時とアクセスＵＲＬから該当するアクセス制御ルールをアクセス制御ルールテーブルから取得する（ステップＳ１４）。ここで、このアクセス制御ルールをＢとする。そして、Ａの人事異動履歴情報がＢのアクセス制御ルールに含まれるか否かを検査（比較）する（ステップＳ１５）。監査ログ分析プログラム２は、ＡがＢに含まれない場合には、読み込んだ監査ログに示されたアクセスが不正アクセスであると判断し、不正アクセスリストに該当監査ログを追加する（ステップＳ１６）。そして、監査対象の監査ログのうち検査済みでないものがあるかどうかを確認する（ステップＳ１７）。また、ステップＳ１５において、ＡがＢに含まれる場合にも、読み込んだ監査ログに示されたアクセスが不正アクセスではないと判断し、ステップＳ１７の処理を行う。監査対象の監査ログのうち検査済みでないものがあれば、全ての監査ログについて検査が終わるまでステップＳ１２〜１７の処理を繰り返す。

最後に、出力部１５は、監査ログ分析プログラム２が作成した不正アクセスリストを画面に出力する（ステップＳ１８）。

本実施の形態では、ユーザ所属情報として人事異動履歴情報を用い、ユーザを部署ごと又は役職ごとに分類しているが、他の属性（例えば、性別、年齢、住所など）ごとに分類していてもよい。

以上のように、本実施の形態では、監査ログ分析サーバ１が、監査ログに示されたＵＲＬへのアクセスを行ったユーザがそのアクセスを行った時点で所属していた部署やその時点での役職を人事異動履歴ＤＢ３に保管された人事異動履歴情報から特定し、特定した部署や役職のユーザに関して監査ログ分析用アクセス制御ルールＤＢ４に保管されたアクセス認否情報に基づいてアクセスの認否を判断することにより、任意の時点で不正アクセスの検出を正確に行うことができる。

また、本実施の形態では、システム管理者などに入力部１４を介して監査対象期間を設定させることにより、監査ログ分析サーバ１が全ての監査ログを分析するのではなく必要な監査ログのみを分析することができ、処理の効率化や処理時間の短縮が可能となる。

また、本実施の形態では、出力部１５が監査ログ分析プログラム２の検出した不正アクセスの一覧を画面に出力することにより、システム管理者などが不正アクセスの有無や不正アクセスに関する情報を確認することができる。

また、本実施の形態では、アクセスの対象となるコンテンツを特定するＵＲＬの一部をアクセス制御ルールごとに細かく指定することにより、監査ログ分析サーバ１が不正アクセスをより正確に検出することが可能となる。

本実施の形態で説明した監査ログ分析方式は、
監査ログ分析サーバにおいて、期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースを備え、ユーザのＷｅｂシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出することを特徴とする。

本実施の形態で説明した監査ログ分析システムは、
期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースを備え、ユーザのＷｅｂシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出する監査ログ分析サーバと、監査ログ分析サーバに監査期間を送信するための監査ログ分析画面と、分析対象である監査ログとで構成されることを特徴とする。

実施の形態２．
実施の形態１では、蓄積場所が単一である監査ログに対して監査ログ分析を行っているが、本実施の形態では、蓄積場所が複数ある監査ログに対して監査ログ分析を行う。

図９は、本実施の形態に係る監査ログ分析システムの構成を示すブロック図である。図３に示した実施の形態１との差異について説明する。

本実施の形態に係る監視ログ分析システムは、複数の認証サーバ７を有し、さらに認証サーバ７ごとに監査ログＤＢ５を有する。監査ログＤＢ５は、ユーザがクライアント端末６から負荷分散装置１２により選択された認証サーバ７経由でＡＰＰサーバ８にアクセスしたログ（監査ログ）を記録する。監査ログ分析サーバ１は、図１で示した構成に加え、複数の監査ログＤＢ５から監査ログを収集し、収集した監査ログを一つの統合監査ログに統合する監査ログ収集プログラム（監査ログ収集部）１０と、統合監査ログを蓄積する統合監査ログＤＢ（統合ログデータベース）１１を備える。

本実施の形態において、負荷分散装置１２は、通信機能を備える複数の装置を接続するものであれば、ルータやスイッチなど、他の装置に置き換えてもよい。

図９の人事異動履歴ＤＢ３は、実施の形態１で説明した図５のような人事異動履歴情報を格納する人事異動履歴テーブルを管理する。

図９の監査ログ分析用アクセス制御ルールＤＢ４は、実施の形態１と同様に、アクセス認否情報を格納するアクセス制御ルールテーブルを管理する。本実施の形態では、図１０に示すように、コンテンツのＵＲＬが、そのコンテンツへのアクセスを認証した認証サーバ７の名前（例えば、「ｓｖｒＷ」）を含む。ただし、本実施の形態において、実施の形態１で説明した図６のようなアクセス制御ルールテーブルを用いてもよい。

図９の統合監査ログＤＢ１１は、統合監査ログを格納する統合監査ログテーブルを管理する。統合監査ログテーブルは、統合監査ログを格納するということ以外は、実施の形態１の監査ログＤＢと同様である。本実施の形態では、図１１に示すように、アクセスＵＲＬが、そのアクセスを認証した認証サーバ７の名前（例えば、「ｓｖｒＷ」）を含むものとする。ただし、本実施の形態において、実施の形態１で説明した図７のような統合監査ログテーブルを用いてもよい。

図１２は、本実施の形態に係る監査ログ分析サーバの動作を示すフロー図である。

システム管理者などが入力部１４を介して監査ログ分析画面９に監査する期間を入力し、監査対象期間を送信すると、監査ログ分析プログラム２は監査対象期間を受信する（ステップＳ２１）。監査対象期間を受信した監査ログ分析プログラム２は、該当期間の監査ログを収集するように、監査ログ収集プログラム１０に命令を送信する。監査ログ収集プログラム１０は、対象となる複数の監査ログＤＢ５から監査対象期間の監査ログを収集し（ステップＳ２２）、収集した監査ログを日時でソートし、統合監査ログとして統合監査ログテーブルに保管する（ステップＳ２３）。

以降は実施の形態１で説明した図８のステップＳ１２〜１７と同様に、該当期間の統合監査ログを統合監査ログＤＢ１１内の統合監査ログテーブルから古い順に一行ずつ読み込み、不正アクセスの検出を行う（ステップＳ２４〜２９）。

最後に、出力部１５は、監査ログ分析プログラム２が作成した不正アクセスリストを画面に出力する（ステップＳ３０）。

以上のように、本実施の形態では、監査ログ分析サーバ１が、複数の監査ログＤＢ５から監査ログを収集し、収集した監査ログを統合し、統合した監査ログを統合監査ログＤＢ１１に保管することにより、分散された監査ログについても一括して分析し、不正アクセスの検出を正確に行うことができる。

本実施の形態で説明した監査ログ分析方式は、
監査ログ分析サーバにおいて、期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の監査ログを収集し統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、複数サーバにおけるユーザのＷｅｂシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出することを特徴とする。

本実施の形態で説明した監査ログ分析システムは、
期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の監査ログを収集し統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、複数のサーバにおけるユーザのＷｅｂシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出する監査ログ分析サーバと、監査ログ分析サーバに監査期間を送信するための監査ログ分析画面と、分析対象である複数サーバの監査ログとで構成されることを特徴とする。

実施の形態３．
実施の形態１及び２では、Ｗｅｂシステムへのアクセスの履歴が記録された監査ログの分析を行っているが、本実施の形態では、ファイルサーバへのアクセスの履歴が記録された監査ログの分析を行う。

図１３は、本実施の形態に係る監査ログ分析システムの構成を示すブロック図である。図３に示した実施の形態１との差異について説明する。

本実施の形態に係る監視ログ分析システムにおいて、監査ログＤＢ５は、ユーザがクライアント端末６からファイルサーバ１３にアクセスしたログ（監査ログ）を記録する。

図１３の人事異動履歴ＤＢ３は、実施の形態１で説明した図５のような人事異動履歴情報を格納する人事異動履歴テーブルを管理する。

図１３の監査ログ分析用アクセス制御ルールＤＢ４は、実施の形態１と同様に、アクセス認否情報を格納するアクセス制御ルールテーブルを管理する。本実施の形態では、コンテンツを特にファイルサーバ１３内のコンテンツであるとして、図１４に示すように、そのファイルパスの一部（図１４では、フォルダパス又はディレクトリパス）を記述している。

図１３の監査ログＤＢ５は、実施の形態１と同様に、監査ログを格納する監査ログテーブルを管理する。

図１５は、本実施の形態における監査ログテーブルの一例を示す図である。

監査ログテーブルは、監査ログとして、アクセスの日時及びＵＩＤをキーとし、コンテンツを特定するアクセスファイル（アクセスされたファイルのファイルパス）を保持する。監査ログテーブルには、クライアント端末６がファイルサーバ１３にアクセスした履歴のデータが随時追加される。

本実施の形態に係る監査ログ分析サーバの動作は、ＵＲＬの代わりにファイルパスによりコンテンツを特定するということ以外は、図８に示した実施の形態１と同様である。

以上のように、本実施の形態では、Ｗｅｂ形式からファイルサーバ１３の形式に監査ログの形式が変わっても、アクセス制御ルールの形式を合わせることにより、Ｗｅｂ形式の監査ログ分析方式と同様の方式で監査ログ分析を行うことが可能であり、ファイルサーバ１３へのアクセス履歴を記録した監査ログ分析も正確に行うことが可能である。

本実施の形態で説明した監査ログ分析方式は、
監査ログ分析サーバにおいて、期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースを備え、ユーザのファイルサーバへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出することを特徴とする。

本実施の形態で説明した監査ログ分析システムは、
期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースを備え、ユーザのファイルサーバへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出する監査ログ分析サーバと、監査ログ分析サーバに監査期間を送信するための監査ログ分析画面と、分析対象である監査ログとで構成されることを特徴とする。

実施の形態４．
実施の形態３では、蓄積場所が単一である監査ログに対して監査ログ分析を行っているが、本実施の形態では、実施の形態２と同様に、蓄積場所が複数ある監査ログに対して監査ログ分析を行う。

図１６は、本実施の形態に係る監査ログ分析システムの構成を示すブロック図である。図９に示した実施の形態２との差異について説明する。

本実施の形態に係る監視ログ分析システムにおいて、それぞれの監査ログＤＢ５は、ユーザがクライアント端末６から複数のファイルサーバ１３のうちいずれかにアクセスしたログ（監査ログ）を記録する。

図１６の人事異動履歴ＤＢ３は、実施の形態１で説明した図５のような人事異動履歴情報を格納する人事異動履歴テーブルを管理する。

図１６の監査ログ分析用アクセス制御ルールＤＢ４は、実施の形態２と同様に、アクセス認否情報を格納するアクセス制御ルールテーブルを管理する。本実施の形態では、コンテンツを特にファイルサーバ１３内のコンテンツであるとして、図１７に示すように、そのファイルパスの一部（図１７では、フォルダパス又はディレクトリパス）を記述している。また、コンテンツのファイルパスが、そのコンテンツを保持するファイルサーバ１３の名前（例えば、「ｓｖｒＡ」）を含む。

図１６の統合監査ログＤＢ１１は、実施の形態２と同様に、統合監査ログを格納する統合監査ログテーブルを管理する。

図１８は、本実施の形態における統合監査ログテーブルの一例を示す図である。

統合監査ログテーブルは、統合監査ログとして、アクセスの日時及びＵＩＤをキーとし、コンテンツを特定するアクセスファイル（アクセスされたファイルのファイルパス）を保持する。監査ログテーブルには、クライアント端末６がファイルサーバ１３にアクセスした履歴のデータが随時追加される。本実施の形態では、アクセスファイルが、そのファイルを保持するファイルサーバ１３の名前（例えば、「ｓｖｒＡ」）を含む。

本実施の形態に係る監査ログ分析サーバの動作は、ＵＲＬの代わりにファイルパスによりコンテンツを特定するということ以外は、図１２に示した実施の形態２と同様である。

以上のように、本実施の形態では、Ｗｅｂ形式からファイルサーバ１３の形式に監査ログの形式が変わっても、アクセス制御ルールの形式を合わせることにより、Ｗｅｂ形式の監査ログ分析方式と同様の方式で監査ログ分析を行うことが可能であり、さらに監査ログが分散管理されていても、監査ログ分析サーバ１が、複数の監査ログＤＢ５から監査ログを収集し、収集した監査ログを統合し、統合した監査ログを統合監査ログＤＢ１１に保管することにより、ファイルサーバ１３へのアクセス履歴を記録した監査ログ分析も正確に行うことが可能である。

本実施の形態で説明した監査ログ分析方式は、
監査ログ分析サーバにおいて、期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の監査ログを収集し統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、複数サーバにおけるユーザのファイルサーバへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出することを特徴とする。

本実施の形態で説明した監査ログ分析システムは、
期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の監査ログを収集し統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、複数のサーバにおけるユーザのファイルサーバへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出する監査ログ分析サーバと、監査ログ分析サーバに監査期間を送信するための監査ログ分析画面と、分析対象である複数サーバの監査ログとで構成されることを特徴とする。

実施の形態５．
実施の形態１から４まででは、単一種類の監査ログを分析しているが、本実施の形態では、複数の種類の監査ログを分析する。

図１９は、本実施の形態に係る監査ログ分析システムの構成を示すブロック図である。図９に示した実施の形態２との差異について説明する。

本実施の形態に係る監視ログ分析システムにおいて、それぞれの監査ログＤＢ５は、ユーザがクライアント端末６から認証サーバ７経由でＡＰＰサーバ８にアクセスしたログ（監査ログ）、又はユーザがクライアント端末６からファイルサーバ１３にアクセスしたログ（同じく、監査ログ）のいずれかを記録する。図１９では、監査ログＤＢ５ａが前者の監査ログを、監査ログＤＢ５ｂが後者の監査ログを記録している。

図１９の人事異動履歴ＤＢ３は、実施の形態１で説明した図５のような人事異動履歴情報を格納する人事異動履歴テーブルを管理する。

図１９の監査ログ分析用アクセス制御ルールＤＢ４は、アクセス認否情報を格納するアクセス制御ルールテーブルを管理する。

図２０は、本実施の形態におけるアクセス制御ルールテーブルの一例を示す図である。

アクセス制御ルールテーブルは、アクセス認否情報として、期間及びＡＣＬ名をキーとし、組織コード、役職コード、コンテンツといったアクセス制御ルールの詳細データ、コンテンツの種別を示すデータを保持する。本実施の形態では、コンテンツの種別は、「Ｗｅｂ」又は「ファイルサーバ」である。種別が「Ｗｅｂ」の場合、アクセス制御ルールのコンテンツ欄には、コンテンツのＵＲＬの一部（図２０では、フォルダ又はディレクトリを指定するＵＲＬ）が記述されている。種別が「ファイルサーバ」の場合、アクセス制御ルールのコンテンツ欄には、コンテンツのファイルパスの一部（図２０では、フォルダパス又はディレクトリパス）が記述されている。アクセス制御ルールテーブルには、予め期間とアクセスの対象となるコンテンツに対するアクセス制御ルールが登録されている。

図１９の統合監査ログＤＢ１１は、統合監査ログを格納する統合監査ログテーブルを管理する。

図２１は、本実施の形態における統合監査ログテーブルの一例を示す図である。

統合監査ログテーブルは、統合監査ログとして、アクセスの日時及びＵＩＤをキーとし、コンテンツを特定するアクセスＵＲＬ／アクセスファイル、ログ種別を示すデータを保持する。本実施の形態では、ログ種別は、「Ｗｅｂ」又は「ファイルサーバ」である。ログ種別が「Ｗｅｂ」の場合、その行（監査ログ）はユーザがクライアント端末６から認証サーバ７経由でＡＰＰサーバ８にアクセスしたログであり、アクセスＵＲＬ／アクセスファイル欄には、アクセスＵＲＬが記録されている。種別が「ファイルサーバ」の場合、その行はユーザがクライアント端末６からファイルサーバ１３にアクセスしたログであり、アクセスＵＲＬ／アクセスファイル欄には、アクセスされたファイルのファイルパスが記録されている。

図２２は、本実施の形態に係る監査ログ分析サーバの動作を示すフロー図である。

システム管理者などが入力部１４を介して監査ログ分析画面９に監査する期間を入力し、監査対象期間を送信すると、監査ログ分析プログラム２は監査対象期間を受信する（ステップＳ３１）。監査対象期間を受信した監査ログ分析プログラム２は、該当期間の監査ログを収集するように、監査ログ収集プログラム１０に命令を送信する。監査ログ収集プログラム１０は、対象となる複数の監査ログＤＢ５から監査対象期間の監査ログを収集し（ステップＳ３２）、収集した監査ログを日時でソートし、ログ種別を追加し、統合監査ログとして統合監査ログテーブルに保管する（ステップＳ３３）。続いて、監査ログ分析プログラム２は、以下のように該当期間の統合監査ログを統合監査ログＤＢ１１内の統合監査ログテーブルから古い順に一行ずつ読み込み、不正アクセスの検出を行う（ステップＳ３４〜３９）。

監査ログ分析プログラム２は統合監査ログテーブルから監査ログを一行読み込む（ステップＳ３４）。読み込んだ監査ログの日時とＵＩＤから該当する人事異動履歴情報を人事異動履歴テーブルから取得する（ステップＳ３５）。ここで、この人事異動履歴情報をＡとする。また、読み込んだ監査ログの日時とログ種別に応じてアクセスＵＲＬ又はアクセスファイルから該当するアクセス制御ルールをアクセス制御ルールテーブルから取得する（ステップＳ３６）。ここで、このアクセス制御ルールをＢとする。そして、Ａの人事異動履歴情報がＢのアクセス制御ルールに含まれるか否かを検査（比較）する（ステップＳ３７）。監査ログ分析プログラム２は、ＡがＢに含まれない場合には、読み込んだ監査ログに示されたアクセスが不正アクセスであると判断し、不正アクセスリストに該当監査ログを追加する（ステップＳ３８）。そして、監査対象の監査ログのうち検査済みでないものがあるかどうかを確認する（ステップＳ３９）。また、ステップＳ３７において、ＡがＢに含まれる場合にも、読み込んだ監査ログに示されたアクセスが不正アクセスではないと判断し、ステップＳ３９の処理を行う。監査対象の監査ログのうち検査済みでないものがあれば、全ての監査ログについて検査が終わるまでステップＳ３４〜３９の処理を繰り返す。

最後に、出力部１５は、監査ログ分析プログラム２が作成した不正アクセスリストを画面に出力する（ステップＳ４０）。

本実施の形態では、アクセス制御ルールにおいて具体的にコンテンツを指定せず、ログ種別ごとにアクセスの認可を規定してもよい。この場合、図２０に示したアクセス制御ルールテーブルにおいて、種別欄をアクセス制御ルールのデータとして扱い、コンテンツ欄を削除してもよい。

以上のように、本実施の形態では、監査ログ分析サーバ１が、複数の監査ログＤＢ５から種別の異なるコンテンツへのアクセスの履歴を示す監査ログを収集し、それぞれのアクセスの履歴に当該アクセスが行われたコンテンツの種別を示す情報を付加して、収集した監査ログを統合し、統合した監査ログを統合監査ログＤＢ１１に保管することにより、異なる種別の監査ログについても一括して分析し、不正アクセスの検出を正確に行うことができる。

本実施の形態で説明した監査ログ分析方式は、
監査ログ分析サーバにおいて、期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の異なる形式の監査ログを収集し、形式を統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、ユーザの複数種類のサーバ及びシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出することを特徴とする。

本実施の形態で説明した監査ログ分析システムは、
期間及びコンテンツに対するアクセス制御ルールを管理するためのアクセス制御ルールデータベースと、アクセス制御情報の記述に使用する人事情報の履歴情報を管理するための人事異動履歴データベースと、複数の異なる形式の監査ログを収集し、形式を統合する監査ログ収集プログラムと、統合した監査ログを管理する統合監査ログデータベースを備え、ユーザの複数種類のサーバ及びシステムへのアクセス記録に対して、上記アクセス制御ルールと人事異動履歴を使用して、任意の時点における不正アクセスを検出する監査ログ分析サーバと、監査ログ分析サーバに監査期間を送信するための監査ログ分析画面と、分析対象である複数種類の監査ログとで構成されることを特徴とする。

上記の各実施の形態では、監査ログをＷｅｂシステム又はファイルサーバのアクセス履歴に関するログとして説明したが、アクセス制御ルール、種別などの記述を変えることにより、情報セキュリティマネジメントシステム（ＩＳＭＳ）準拠のログ、ＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式のログなど、様々な形式の監査ログを利用可能である。

実施の形態１における監査ログ分析サーバの外観の一例を示す図。 実施の形態１における監査ログ分析サーバのハードウェア構成の一例を示す図。 実施の形態１に係る監査ログ分析システムの構成を示すブロック図。 実施の形態１における監査ログ分析画面の一例を示す図。 実施の形態１における人事異動履歴テーブルの一例を示す図。 実施の形態１におけるアクセス制御ルールテーブルの一例を示す図。 実施の形態１における監査ログテーブルの一例を示す図。 実施の形態１に係る監査ログ分析サーバの動作を示すフロー図。 実施の形態２に係る監査ログ分析システムの構成を示すブロック図。 実施の形態２におけるアクセス制御ルールテーブルの一例を示す図。 実施の形態２における統合監査ログテーブルの一例を示す図。 実施の形態２に係る監査ログ分析サーバの動作を示すフロー図。 実施の形態３に係る監査ログ分析システムの構成を示すブロック図。 実施の形態３におけるアクセス制御ルールテーブルの一例を示す図。 実施の形態３における監査ログテーブルの一例を示す図。 実施の形態４に係る監査ログ分析システムの構成を示すブロック図。 実施の形態４におけるアクセス制御ルールテーブルの一例を示す図。 実施の形態４における統合監査ログテーブルの一例を示す図。 実施の形態５に係る監査ログ分析システムの構成を示すブロック図。 実施の形態５におけるアクセス制御ルールテーブルの一例を示す図。 実施の形態５における統合監査ログテーブルの一例を示す図。 実施の形態５に係る監査ログ分析サーバの動作を示すフロー図。

符号の説明

１ 監査ログ分析サーバ、２ 監査ログ分析プログラム、３ 人事異動履歴ＤＢ、４ 監査ログ分析用アクセス制御ルールＤＢ、５ 監査ログＤＢ、６ クライアント端末、７ 認証サーバ、８ ＡＰＰサーバ、９ 監査ログ分析画面、１０ 監査ログ収集プログラム、１１ 統合監査ログＤＢ、１２ 負荷分散装置、１３ ファイルサーバ、１４ 入力部、１５ 出力部、９０１ ＣＲＴ表示装置、９０２ Ｋ／Ｂ、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ。

Claims (9)

1. クライアント端末からのユーザによるコンピュータ資源へのアクセスの履歴を示す監査ログを保管する監査ログデータベースから監査ログを取得し、取得した監査ログを分析する監査ログ分析装置において、
   ユーザが所属するグループと当該ユーザの当該グループへの所属期間とを示すユーザ所属情報を保管するユーザ所属情報データベースと、
   特定の期間における特定のグループに所属するユーザによる特定のコンピュータ資源へのアクセスの認否を規定するアクセス認否情報を保管するアクセス認否情報データベースと、
   前記監査ログデータベースから監査ログを取得し、取得した監査ログに示されたコンピュータ資源へのアクセスを行ったユーザが当該コンピュータ資源へのアクセスを行った時点で所属していたグループを前記ユーザ所属情報データベースに保管されたユーザ所属情報から特定し、特定したグループに所属するユーザに関して前記アクセス認否情報データベースに保管されたアクセス認否情報に基づいて当該コンピュータ資源へのアクセスの認否を判断する監査ログ分析部とを備えることを特徴とする監査ログ分析装置。
2. 前記監査ログ分析装置は、さらに、
   期間を入力する入力部を備え、
   前記監査ログ分析部は、
   前記監査ログデータベースから監査ログのうち前記入力部が入力した期間のアクセスの履歴を示す部分のみを取得することを特徴とする請求項１に記載の監査ログ分析装置。
3. 前記監査ログ分析装置は、さらに、
   複数の監査ログデータベースから監査ログを収集し、収集した監査ログを統合する監査ログ収集部と、
   前記監査ログ収集部が統合した監査ログを統合ログとして保管する統合ログデータベースとを備え、
   前記監査ログ分析部は、
   前記監査ログデータベースから監査ログを取得する代わりに、前記統合ログデータベースから統合ログを取得し、取得した統合ログに示されたアクセスの認否を判断することを特徴とする請求項１又は２に記載の監査ログ分析装置。
4. 前記監査ログ収集部は、
   前記複数の監査ログデータベースから種別の異なるコンピュータ資源へのアクセスの履歴を示す監査ログを収集し、それぞれのアクセスの履歴に当該アクセスが行われたコンピュータ資源の種別を示す情報を付加して、収集した監査ログを統合し、
   前記アクセス認否情報データベースは、
   特定の期間における特定のグループに所属するユーザによる特定のコンピュータ資源の種別へのアクセスの認否を規定するアクセス認否情報を保管することを特徴とする請求項３に記載の監査ログ分析装置。
5. 前記監査ログ分析部は、
   認められないものと判断したアクセスを不正アクセスとして検出し、検出した不正アクセスの一覧を作成し、
   前記監査ログ分析装置は、さらに、
   前記監査ログ分析部が作成した不正アクセスの一覧を出力する出力部を備えることを特徴とする請求項１から４までのいずれかに記載の監査ログ分析装置。
6. 前記ユーザ所属情報は、組織の構成員を前記ユーザとし、前記ユーザが所属するグループとして組織における部署と役職との少なくともいずれかを示す人事異動履歴情報であることを特徴とする請求項１から５までのいずれかに記載の監査ログ分析装置。
7. 前記アクセス認否情報データベースは、
   前記コンピュータ資源を特定するためにＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）とファイルパスとの少なくともいずれかの一部を用いることを特徴とする請求項１から６までのいずれかに記載の監査ログ分析装置。
8. ユーザ所属情報データベースとアクセス認否情報データベースとを有し、クライアント端末からのユーザによるコンピュータ資源へのアクセスの履歴を示す監査ログを保管する監査ログデータベースから監査ログを取得し、取得した監査ログを分析する装置を用いる監査ログ分析方法において、
   前記ユーザ所属情報データベースに、ユーザが所属するグループと当該ユーザの当該グループへの所属期間とを示すユーザ所属情報を保管するユーザ所属情報保管ステップと、
   前記アクセス認否情報データベースに、特定の期間における特定のグループに所属するユーザによる特定のコンピュータ資源へのアクセスの認否を規定するアクセス認否情報を保管するアクセス認否情報保管ステップと、
   前記監査ログデータベースから監査ログを取得し、取得した監査ログに示されたコンピュータ資源へのアクセスを行ったユーザが当該コンピュータ資源へのアクセスを行った時点で所属していたグループを前記ユーザ所属情報保管ステップで前記ユーザ所属情報データベースに保管されたユーザ所属情報から特定し、特定したグループに所属するユーザに関して前記アクセス認否情報保管ステップで前記アクセス認否情報データベースに保管されたアクセス認否情報に基づいて当該コンピュータ資源へのアクセスの認否を判断する監査ログ分析ステップとを備えることを特徴とする監査ログ分析方法。
9. クライアント端末からのユーザによるコンピュータ資源へのアクセスの履歴を示す監査ログを保管する監査ログデータベースから監査ログを取得し、取得した監査ログを分析する監査ログ分析プログラムにおいて、
   ユーザ所属情報データベースに、ユーザが所属するグループと当該ユーザの当該グループへの所属期間とを示すユーザ所属情報を保管するユーザ所属情報保管処理と、
   アクセス認否情報データベースに、特定の期間における特定のグループに所属するユーザによる特定のコンピュータ資源へのアクセスの認否を規定するアクセス認否情報を保管するアクセス認否情報保管処理と、
   前記監査ログデータベースから監査ログを取得し、取得した監査ログに示されたコンピュータ資源へのアクセスを行ったユーザが当該コンピュータ資源へのアクセスを行った時点で所属していたグループを前記ユーザ所属情報保管処理が前記ユーザ所属情報データベースに保管するユーザ所属情報から特定し、特定したグループに所属するユーザに関して前記アクセス認否情報保管処理が前記アクセス認否情報データベースに保管するアクセス認否情報に基づいて当該コンピュータ資源へのアクセスの認否を判断する監査ログ分析処理とをコンピュータに実行させることを特徴とする監査ログ分析プログラム。

Images